Política de Segurança de e-mail: DMARC

Visão geral

O DMARC é uma política de segurança que ajuda a proteger o domínio contra falsificação de e-mails e permite definir como os servidores destinatários devem tratar mensagens que não passam nas verificações de autenticação.

Ele trabalha em conjunto com o SPF e o DKIM, ajudando a melhorar a confiabilidade dos e-mails enviados e a identificar tentativas de uso indevido do domínio.

Quando usar este artigo

Utilize este artigo quando houver baixa entrega de e-mails, devoluções relacionadas a políticas de segurança ou necessidade de entender como o DMARC funciona e como configurá-lo no domínio.

Sintoma ou cenário

E-mails enviados pelo domínio apresentam falhas de entrega relacionadas à autenticação.
Mensagens legítimas podem ser encaminhadas para o spam ou rejeitadas.
Há suspeita de que terceiros estejam enviando e-mails em nome do domínio.
É necessário configurar ou revisar a política DMARC.

Benefício para o usuário ou operação

Maior proteção contra falsificação de e-mails.
Mais visibilidade sobre os serviços que enviam mensagens em nome do domínio.
Melhor controle sobre o tratamento de mensagens que falham nas verificações de autenticação.

Onde acessar / contexto de uso

A configuração do DMARC é realizada no painel de gerenciamento DNS do domínio, junto ao provedor responsável por essa configuração.

O DMARC utiliza os resultados das verificações de SPF e DKIM para orientar os servidores destinatários sobre como tratar os e-mails.

Para entender as outras políticas de autenticação, consulte:

Pré-requisitos (Antes de começar)

Ter acesso ao painel DNS do domínio ou contar com o apoio do responsável técnico.
Ter o SPF e o DKIM configurados e funcionando corretamente antes de aplicar uma política que possa colocar mensagens em quarentena ou rejeitá-las.
Definir um endereço de e-mail para receber os relatórios DMARC, caso deseje monitorar os resultados.

Como o DMARC funciona?

O DMARC (Domain-based Message Authentication, Reporting, and Conformance) utiliza o SPF e o DKIM para verificar se as mensagens estão autenticadas e se os domínios utilizados nessas verificações estão alinhados ao domínio informado no campo De do e-mail.

Para que uma mensagem passe na verificação DMARC, é necessário que pelo menos uma das condições seja atendida:

O SPF seja aprovado e o domínio utilizado nessa verificação esteja alinhado ao domínio do campo De.
O DKIM seja aprovado e o domínio da assinatura esteja alinhado ao domínio do campo De.

Se nenhuma das condições for atendida, o servidor destinatário consulta a política DMARC publicada no DNS para decidir como tratar a mensagem.

O DMARC também pode enviar relatórios que ajudam a identificar quais serviços estão enviando mensagens em nome do domínio e quais falham nas verificações.

As políticas do DMARC

O registro DMARC permite definir como os servidores destinatários devem tratar mensagens que falham na autenticação.

p=none - Monitoramento: não solicita que as mensagens com falha sejam colocadas em quarentena ou rejeitadas. É utilizado para acompanhar os resultados e identificar os serviços que enviam mensagens em nome do domínio.
p=quarantine - Quarentena: solicita que as mensagens com falha sejam tratadas com maior restrição, geralmente encaminhadas para o spam ou retidas conforme as regras do servidor destinatário.
p=reject - Rejeição: solicita que as mensagens com falha sejam rejeitadas pelo servidor destinatário.

A aplicação efetiva dessas políticas depende do servidor que recebe a mensagem. Por isso, é importante monitorar os resultados antes de adotar uma política mais restritiva.

Como configurar o DMARC

1. Verifique o SPF e o DKIM

Antes de configurar o DMARC, verifique se o SPF e o DKIM estão publicados e funcionando corretamente. Uma configuração inadequada pode afetar a entrega de mensagens legítimas.

2. Crie o registro DMARC no DNS

No painel DNS do domínio, adicione um registro do tipo TXT com o nome ou host _dmarc.

Para começar, você pode utilizar uma configuração básica de monitoramento:

Exemplo de valor:

v=DMARC1; p=none; rua=mailto:seuemail@dominio.com

Nesse exemplo:

v=DMARC1: identifica a versão do protocolo DMARC.
p=none: define a política de monitoramento, sem solicitar que mensagens com falha sejam colocadas em quarentena ou rejeitadas.
rua=mailto:seuemail@dominio.com: indica o endereço que receberá os relatórios agregados, quando enviados pelos servidores destinatários.

Substitua seuemail@dominio.com pelo seu endereço para receber esses relatórios.

Importante: esse é um exemplo inicial, não uma configuração universal. Antes de publicar o registro, verifique se o domínio já possui um DMARC configurado. Após a publicação, acompanhe os relatórios para identificar possíveis falhas de autenticação antes de adotar uma política mais restritiva, como p=quarantine ou p=reject.

3. Monitore os relatórios

Após a publicação do registro, os servidores que oferecem suporte a relatórios DMARC poderão enviar dados sobre as mensagens autenticadas e as que apresentaram falhas.

Esses relatórios costumam ser enviados em formato XML e podem ser analisados com ferramentas próprias para facilitar a leitura.

4. Revise a política antes de torná-la mais restritiva

Utilize os relatórios para identificar os serviços legítimos que enviam mensagens em nome do domínio e corrigir eventuais falhas de SPF, DKIM ou alinhamento.

Somente depois de validar esses serviços, avalie alterar a política para p=quarantine ou p=reject. Uma mudança sem essa verificação pode afetar a entrega de e-mails legítimos.

Resultado esperado

Com o registro DMARC publicado e configurado corretamente, os servidores destinatários poderão aplicar a política definida para mensagens que falham nas verificações de autenticação. Os relatórios, quando habilitados e suportados, também ajudarão a acompanhar os envios realizados em nome do domínio.

A configuração do DMARC contribui para a segurança e a confiabilidade dos e-mails, mas não garante, por si só, que todas as mensagens sejam entregues na caixa de entrada.

Quando escalar

Procure o responsável técnico pelo domínio ou pela infraestrutura de e-mail quando:

Não houver acesso ao painel DNS para criar ou alterar o registro.
O registro DMARC não puder ser publicado ou apresentar inconsistências.
E-mails legítimos forem rejeitados ou colocados em quarentena após uma alteração na política.
Os relatórios indicarem falhas de autenticação que não possam ser corrigidas com as configurações disponíveis.

Informações para escalonamento

Ao solicitar apoio técnico, reúna, sempre que possível:

O domínio afetado.
O valor atual do registro DMARC.
Os registros SPF e DKIM publicados no DNS.
Exemplos de e-mails com falha de entrega e as mensagens de erro recebidas.
Relatórios DMARC disponíveis e a data em que o problema começou.
Alterações recentes realizadas nas configurações de autenticação.

Regras importantes / Observações

O DMARC depende do SPF ou do DKIM aprovado e alinhado ao domínio do campo De.
A política p=none é voltada ao monitoramento e não solicita quarentena ou rejeição das mensagens com falha.
Antes de utilizar p=quarantine ou p=reject, verifique se todos os serviços legítimos de envio estão configurados corretamente.
O parâmetro rua indica o endereço que receberá os relatórios agregados, quando enviados pelos servidores destinatários.
Os parâmetros sp, adkim, aspf, pct, ruf e fo permitem definir regras adicionais para subdomínios, alinhamento, aplicação da política e relatórios. A configuração desses parâmetros deve considerar as necessidades do domínio e os requisitos de segurança e privacidade.
O DMARC não garante que uma mensagem será entregue na caixa de entrada, pois outros fatores também influenciam a entrega.

Problemas comuns e como resolver

Problema: E-mails legítimos são rejeitados ou encaminhados para o spam após a configuração do DMARC.
Causa provável: A política está muito restritiva para a configuração atual, ou algum serviço legítimo de envio não está passando nas verificações de SPF ou DKIM com o alinhamento necessário.
Ação recomendada: Consulte os relatórios DMARC, identifique os serviços afetados e revise as configurações de SPF, DKIM e alinhamento antes de tornar a política mais restritiva.

Problema: O domínio continua apresentando falhas de autenticação mesmo com o DMARC publicado.
Causa provável: O registro DMARC não corrige, por si só, falhas nos registros SPF ou DKIM.
Ação recomendada: Verifique os registros SPF e DKIM e consulte os artigos correspondentes para revisar suas configurações.

Problema: Não recebo relatórios DMARC.
Causa provável: O endereço informado no parâmetro rua pode estar incorreto, ou os servidores destinatários podem não estar enviando relatórios.
Ação recomendada: Confira o endereço configurado no parâmetro rua e verifique se os relatórios estão sendo enviados pelo serviço destinatário.

Dúvidas relacionadas (FAQ)

P: Qual é a diferença entre SPF, DKIM e DMARC?
R: O SPF indica quais servidores estão autorizados a enviar e-mails em nome do domínio. O DKIM utiliza uma assinatura para ajudar a verificar a autenticidade da mensagem. O DMARC utiliza os resultados do SPF e do DKIM, verifica o alinhamento dos domínios e define como tratar mensagens que falham na autenticação.

P: Qual política DMARC devo utilizar?
R: A política depende do nível de proteção desejado e da validação dos serviços que enviam mensagens em nome do domínio. p=none permite monitorar os resultados; p=quarantine solicita tratamento restritivo para mensagens com falha; e p=reject solicita que essas mensagens sejam rejeitadas. Antes de adotar uma política mais restritiva, valide os envios legítimos.

P: Configurar o DMARC garante que os e-mails chegarão à caixa de entrada?
R: Não. O DMARC contribui para a autenticação e a segurança dos envios, mas a entrega também depende de outros fatores, como a reputação do domínio, o conteúdo da mensagem e as regras do servidor destinatário.

P: Como identificar problemas no envio e recebimento de e-mails?
R: Consulte o artigo Como identificar problemas no envio e recebimento de e-mails.

Links para artigos relacionados

Palavras-chave de busca

DMARC, política de segurança de e-mail, autenticação de e-mail, SPF, DKIM, registro DNS, registro TXT, falha de entrega de e-mails, e-mails no spam, rejeição de e-mails, relatórios DMARC, proteção contra falsificação de domínio.